# @blimmer/cdk-circleci-oidc 中文文档

规范地址：https://npmcn.com/package/%40blimmer/cdk-circleci-oidc/

版本：1\.0\.2
npm 元数据更新时间：2025-01-20T19:36:51.437Z
中文译文更新时间：2026-11-08T06:48:18.654Z
软件包许可：Apache-2\.0

本文由上游 README 翻译，可能存在偏差，请结合原文核对 API、命令与配置。版权与许可归原作者所有。

原始 npm 页面：https://www.npmjs.com/package/%40blimmer/cdk-circleci-oidc
原文对照：https://npmcn.com/package/%40blimmer/cdk-circleci-oidc/?lang=original
项目主页：https://github.com/blimmer/cdk-circleci-oidc#readme
源码仓库：https://github.com/blimmer/cdk-circleci-oidc

## 关键信息（来自 npm 元数据）

- 包体积（解压后）：252 kB，14 个文件
- 模块格式：CommonJS
- TypeScript 类型：包内自带
- 运行依赖：0 个
- peer 依赖：aws-cdk-lib ^2\.73\.0，constructs ^10\.0\.5
- 首次发布：2023-02-23T00:21:17.042Z
- 最新版本发布：2025-01-20T19:36:51.243Z
- 近 30 天下载量：4270（2026-10-09 至 2026-11-07，npm 官方下载统计）
- 已发布版本数：13（近 12 个月 0 个）

## 中文简介

为 CircleCI 工作创建 OIDC 角色的 AWS CDK 构造

## 安装

```sh
npm install @blimmer/cdk-circleci-oidc
```

也可以使用：`pnpm add @blimmer/cdk-circleci-oidc`、`yarn add @blimmer/cdk-circleci-oidc`、`bun add @blimmer/cdk-circleci-oidc`

## README

# 圆环CI OIDC

这个寄存器包含通过一个开放的ID连接(OIDC)提供者在CircleCI和AWS之间通信的构造. 这个 进程在 [这个 CircleCI 博客文章](https://circleci.com/blog/openid-connect-identity-tokens/)。 。 。 .

## 安全福利

通过使用 OpenID 连接提供者,您可以在不保存静态证书的情况下从 CircleCI 与 AWS 通信 (例如, `AWS_ACCESS_KEY_ID` 财务报告和审定财务报表 `AWS_SECRET_ACCESS_KEY`在您的 CircleCI 项目设置或上下文中。 删除静态 全权证书,特别是鉴于2023年初 [违反](https://circleci.com/blog/jan-4-2023-incident-report/),是一个 安全最佳做法.

## 快速启动

安装软件包 :

```bash
npm install @blimmer/cdk-circleci-oidc

or

yarn add @blimmer/cdk-circleci-oidc
```

然后,创建提供者和角色.

```typescript
import { Stack, StackProps } from "aws-cdk-lib";
import { CircleCiOidcProvider, CircleCiOidcRole } from "@blimmer/cdk-circleci-oidc";
import { Construct } from "constructs";
import { ManagedPolicy, PolicyStatement } from "aws-cdk-lib/aws-iam";
import { Bucket } from "aws-cdk-lib/aws-s3";

export class CircleCiStack extends Stack {
  constructor(scope: Construct, id: string, props?: StackProps) {
    super(scope, id, props);

    // The provider is only created _once per AWS account_. It might make sense to define this in a separate stack
    // that defines more global resources. See below for how to use import the provider in stacks that don't define it.
    const provider = new CircleCiOidcProvider(this, "OidcProvider", {
      // Find your organization ID in the CircleCI dashboard under "Organization Settings"
      organizationId: "11111111-2222-3333-4444-555555555555",
    });

    const myCircleCiRole = new CircleCiOidcRole(this, "MyCircleCiRole", {
      provider,
      roleName: "MyCircleCiRole",

      // Pass some managed policies to the role
      managedPolicies: [ManagedPolicy.fromAwsManagedPolicyName("AmazonS3ReadOnlyAccess")],
    });

    // You can work with the CircleCI role like any other role
    myCircleCiRole.addToPolicy(
      new PolicyStatement({
        actions: ["s3:ListAllMyBuckets"],
        resources: ["*"],
      }),
    );

    // Including using `.grant` convenience methods
    const bucket = new Bucket(this, "MyBucket");
    bucket.grantRead(myCircleCiRole);
  }
}
```

现在,在你 `.circleci/config.yml` 文件, 您可以使用 [AWS CLI 轨道](https://circleci.com/developer/orbs/orb/circleci/aws-cli) 担任你的新角色.

```yaml
version: 2.1

orbs:
  aws-cli: circleci/aws-cli@4.1.0 # https://circleci.com/developer/orbs/orb/circleci/aws-cli

workflows:
  version: 2
  build:
    jobs:
      - oidc-job:
          context: oidc-assumption # You _must_ use a context, even if it doesn't contain any secrets (see https://circleci.com/docs/openid-connect-tokens/#openid-connect-id-token-availability)

jobs:
  oidc-job:
    docker:
      - image: cimg/base:stable
    steps:
      - checkout
      # https://circleci.com/developer/orbs/orb/circleci/aws-cli#commands-setup
      - aws-cli/setup:
          role_arn: "arn:aws:iam::123456789101:role/MyCircleCiRole"
      - run:
          name: List S3 Buckets
          command: aws s3 ls
```

## 不定义提供者的堆栈使用

这个 `CircleCiOidcProvider` 仅创建 **每账户一次**您可以使用 `CircleCiOidcProvider.fromOrganizationId` 将先前创建的提供者导入到任意堆栈的方法.

```typescript
import { Stack, StackProps } from "aws-cdk-lib";
import { CircleCiOidcRole, CircleCiOidcProvider } from "@blimmer/cdk-circleci-oidc";
import { Construct } from "constructs";

export class MyStack extends Stack {
  constructor(scope: Construct, id: string, props?: StackProps) {
    super(scope, id, props);

    const myCircleCiRole = new CircleCiOidcRole(this, "MyCircleCiRole", {
      provider: CircleCiOidcProvider.fromOrganizationId(this, "11111111-2222-3333-4444-555555555555"),
      roleName: "MyCircleCiRole",
    });
  }
}
```

## 使用量

详细的API文件见 [API.md (英语)](https://npmcn.com/API.md)。 。 。 .

## 蟒

Python 可用此软件包 `cdk-circleci-oidc`。 。 。 .

```bash
pip install cdk-circleci-oidc
```

## 主要版本之间的升级

API预计在主要版本之间会有所变化. 请咨询 [更新文件](https://npmcn.com/UPGRADING.md) 用于 资料.

## 捐款

欢迎贡献、问题和反馈!

## 常见问题

### @blimmer/cdk-circleci-oidc 是什么？

为 CircleCI 工作创建 OIDC 角色的 AWS CDK 构造

### 如何安装 @blimmer/cdk-circleci-oidc？

在项目目录运行 npm install @blimmer/cdk-circleci-oidc，或使用 pnpm add / yarn add / bun add。它还需要宿主项目提供 peer 依赖：aws-cdk-lib（^2\.73\.0）、constructs（^10\.0\.5）。npm 7 及以上与 pnpm 8 及以上默认会自动安装必需的 peer 依赖，Yarn 需要手动安装。

### @blimmer/cdk-circleci-oidc 支持 TypeScript 吗？

支持。包内自带 TypeScript 类型声明（package\.json 声明了 types 入口），安装后即可获得类型提示，无需再安装 @types 包。

### @blimmer/cdk-circleci-oidc 支持 ESM 还是 CommonJS？

以 CommonJS 形式发布，可以直接 require\(\)；在 ES Module 项目中也可以用 import 引入（Node\.js 会把 module\.exports 作为默认导出）。

### @blimmer/cdk-circleci-oidc 可以商用吗？

@blimmer/cdk-circleci-oidc 使用 Apache-2\.0 许可。宽松许可：允许商业使用、修改和再分发，并附带明确的专利授权；分发时需保留许可与 NOTICE 文件，修改过的文件要注明改动。以上为概括，不构成法律意见，请以许可原文为准。

### @blimmer/cdk-circleci-oidc 的下载量有多少？

根据 npm 官方下载统计，@blimmer/cdk-circleci-oidc 在 2026/10/09 – 2026/11/07 这 30 天内被下载 4,270 次，日均约 142 次。下载量会把 CI 构建、镜像同步和作为其他包依赖的安装一并计入，适合横向比较热度，不能直接等同于使用人数。

### @blimmer/cdk-circleci-oidc 还在维护吗？

最新版本 1\.0\.2 发布于 2025/01/21（1\.8 年前）；至今共发布 13 个版本，其中过去 12 个月发布了 0 个；首次发布于 2023/02/23。发布频率只是参考信号：功能稳定的工具可能很少需要更新，建议结合源码仓库的 issue 和提交记录判断。